Segundo dados divulgados recentemente pelo Gartner, cinco empresas lideram o mercado mundial de softwares de segurança, que movimentou US$ 22,1 bilhões em 2015. Mais de um terço (37,6%) desse do mercado está concentrado em apenas cinco fabricantes: Symantec, Intel (dona da McAfee), IBM, Trend Micro e EMC (dona da RSA).
Em termos de faturamento em 2015, s empresas se dividiram da seguinte forma:
Symantec: faturamento de US$ 3,352 bilhões (15.2% de market share)
Intel: US$ 1,751 bilhões (7.9%)
IBM: US$ 1,450 bilhões (6.6%)
Trend Micro: US$ 990 bilhões (4.5%)
EMC: US$ 756 bilhões (3.4%)
A receita mundial do mercado de software de segurança cresceu 3,7% em 2015, comparado com o ano anterior. Outros dados interessantes apontados pelo Gartner:
O segmento de mercado que mais cresceu em 2015 foi o de Gerenciamento de Segurança da Informação e de Incidentes (SIEM), com 15,8% de aumento;
O seguimento com maior queda foi o de software de segurança para o consumidor, com queda de 5,9%. Outeo segmento que apresentou queda foi o de Endpoint Protection Platform (EPP);
A participação total das 5 empresas, líderes caiu 3,1% em relação a 2014, com uma queda coletiva de 4,2% das receitas em 2015, enquanto o restante do mercado teve um aumento de 9,2%. Isso mostra que o mercado está valorizando os fornecedores de segurança menores e mais especializados.
O Gartner também divulgou um estudo sobre as tendências de segurança na "Era dos Negócios Digitais", que influenciam o mercado de segurança por conta da expansão das redes móveis, computação em nuvem, redes sociais e a Internet das Coisas (IoT). Neste cenário, muitos padrões e tecnologias nas quais o mercado de gestão de risco e de segurança foram baseadas não são mais adequados. O Gartner destaca as seguintes tendências:
O ambiente de proteção de dados e infraestrutura está migrando para o mundo físico. "Apenas proteger as informações não é o suficiente", devemos "proporcionar segurança para as pessoas e o ambiente ao seu redor";
Todas as organizações devem agora assumir que estão em uma posição de comprometimento contínuo.
As empresas devem adotar uma arquitetura de proteção de segurança adaptável e abrangente;
O Gartner destaca 4 vertentes com 12 habilidades para aumentar a capacidade de bloquear, evitar, detectar e reagir aos ataques:
Prever: Análise Proativa de Exposição, Prever Ataques, Sistemas de Base;
Prevenir: Sistemas Isolados e Consolidados, Distrair os Invasores, Prevenir Incidentes;
Detectar: Detectar Incidentes, Confirmar e Priorizar Riscos, Conter os Incidentes;
Responder: Remediar/Conduzir Mudanças, Mudança de design/modelo, Investigar/perícia.
Fazendo uma pesquisa no Google Images, eu encontrei várias imagens interessantes sobre a evolução dos computadores da Apple. Algumas imagens eram mais simples e outras mais bem detalhadas, e resolvi compartilhar aqui aquelas que gostei mais.
Utilizando o cenário de uma festa aonde os convidados só podem entrar se apresentarem uma senha para o porteiro, um personagem que é o "penetra", consegue entrar várias vezes utilizando técnicas bem conhecidas para descobrir a senha: incluindo tentar a senha preferida do organizador da festa e tentar um ataque de dicionário. Além de mostrar de forma simples como esses ataques funcionam, o vídeo serve pra conscientizar os usuários finals sobre os cuidados au escolher as suas senhas.
O vídeo é divertido e pode ser utilizado em campanhas de conscientização.
Em 2010, o fundador do site 4chan, Christopher "moot" Poole, apresentou uma rápida palestra no TED sobre o que é o 4chan e sua influência na cyber cultura.
A palestra é curta, dura aproximadamente 6 minutos, e é seguida de mais 6 minutos de perguntas e respostas. Já na primeira pergunta, Christopher discute a importância de ter um local aonde as pessoas tem liberdade de dizer o que quiserem, de forma anônima.
Resolvi destacar algumas informações curiosas que vi recentemente sobre o Pokemon Go, o jogo que é a febre do momento.
A franquia Pokémon foi criada em 1996, no Japão, em um videogame portátil da Nintendo. O enredo originou dezenas de jogos e dezoito filmes no cinema. No Brasil, a marca ficou bem popular a partir de 1999, quando o desenho animado estreou na Rede Record e atingia com frequência a liderança no Ibope.
O Pokemon GO é uma versào melhorada de um jogo para smartphones chamado Ingress, que a Niantic já possuía há cerca de dois anos e que tem praticamente o mesmo esquema de jogo, aonde os jogadores buscam locais da sua cidade aonde podem obter objetos e podem lutar entre si para conquistar alguns pontos específicos. O ingress já era um jogo social de conquista com recursos de realidade aumentada, aonde os jogadores dividem-se em 2 facções, sendo que aquela com mais portais conquistados é a melhor.
Os jogadores devem encontrar os portais e usar seus recursos pra destruir as defesas desse portal, mas se outros jogadores da mesma facção ou da facção oposta estiverem por perto, eles serão avisados para ajudar na batalha. Havia um portal no Garoa Hacker Clube, que agora é um "pokestop";
Segundo um post bem legal da Marina Ciavatta, o criador dos Pokemons, Satoshi Sajiri, era um colecionador com uma obsessão por todos os tipos de inseto. Ele os caçava, colocava-os em potes e os estudava, fazendo anotações sobre suas peculiaridades: tamanho, cor, som, alimentação, costumes, etc. E então guardava este caderninho de anotações no bolso. Satoshi cresceu e um pouco depois de seus 30 anos, lançou uma franquia de jogos desenvolvida pela Game Freak e Creatures Inc, lançada pela Nintendo, Pokémon (o jogo), que chegou nos mercados em 1996, para Game Boy.
Em seu primeiro ano, o jogo já tinha vendido mais de 10 milhões de cópias pelo mundo inteiro, se tornando uma febre incontrolável entre as crianças. Isso porque todas elas podiam vasculhar o mundo atrás de criaturas incríveis e diferentes, com tipos diferentes, sons diferentes, habilidades, cores, tamanhos e comportamentos. O mundo dos Pokemons parecia com o caderninho de Satoshi, onde ele levava seus pequenos monstrinhos no bolso, depois de caçá-los, capturá-los e colocá-los em potes. O ímpeto de Satoshi o moveu por toda a sua vida e hoje é o mesmo ímpeto que ainda move as pessoas pelas ruas, atrás de novos desafios, novas descobertas. O nome Pokémon vem de PocketMonsters ("monstros de bolso" em Português), No mundo de Pokémon, assim como no munco animal, tudo é mutável. As criaturas evoluem com treinamento, itens e costumes, de diversas formas Não só isso, muitas das criaturinhas são inspiradas em animais e insetos do "nosso mundo". Algumas delas representam até mesmo a religião e as lendas regionais! Cada criatura é um novo universo de descobertas, assim como dita a ciência.
As estatísticas do Pokémon Go são impressionantes:
Lançado em 6 de julho, inicialmente na Nova Zelândia, Austrália e nos Estados Unidos, logo se transformou em um fenômeno na era dos smartphones. Em dezenove dias, chegou a 50 milhões de usuários, sendo que o recorde anterior era de 77 dias, entre os games de celular.
Ele é atualmente o mais popular game para plataformas móveis. Gerou para a Apple em 15 dias mais de U$ 3 bilhões de dólares em vendas de Pokecoins (as moedas virtuais urilizadas para compra de privilégios no jogo) fazendo as ações da Apple subirem 6% em menos de 15 dias.
Ele também é o primeiro jogo da história a alcançar dez milhões de downloads em apenas sete dias de vendas, superando Clash Royale, Candy Crush Jelly Saga e os Angry Birds.
Segundo a Sensor Tower, cerca de um mês depois do lançamento oficial do jogo Pokémon Go, a desenvolvedora Niantic já arrecadou mais de US$ 200 milhões, proveniente das compras realizadas dentro do jogo (Pokébolas, Lures e Incensos).
Como era de se esperar, enquanto algumas pessoas protestavam nas ruas, o grupo hacktivista Anonymous aproveitou a abertura dos Jogos Olímpicos para ensaiar alguns ataques de protesto, na chamada "OpOlympicHacking". Dois vídeo-manifestos já foram publicados para divulgar a operação.
Em termos práticos, no dia da abertura da Olimpíadas (Sexta, 05/Agosto) os hacktivistas focaram em atacar apenas o site www.brasil2016.gov.br e o site do Ministério dos Esportes. Também fizeram o "tradicional" vazamento de dados públicos de algumas autoridades.
Mais ataques podem ocorrer nas próximas semanas. Por enquanto, as listas de alvos tem destacado sites relacionados a organização dos jogos, alguns sites de governo e de algumas empresas ligadas a escândalos recentes de corrupção (isto é, as grandes empreiteras).
Para faciitar a participação de voluntários nos ataques de negação de serviço (DDoS), foi disponibilizada uma pequena ferramenta para ataques, que roda em Windows. A ferramenta, batizada de "opolympddos", possui botões customizados para disparar um ataque de DDoS direcionado a cada site que é alvo dos protestos.
Se você está lendo esse blog, parte da culpa disso é que, há 25 anos atrás (ou melhor, 25 anos e 1 dia atrás), foi criado o primeiro web site.
No dia 06 de Agosto de 1991, o primeiro website foi criado por Tim Berners-Lee, hospedado em um computador NeXT do CERN (European Organization for Nuclear Research).
Eu sou grande fã das palestras do TED: normalmente encontramos um conteúdo excelente, apresentado de forma rápida, objetiva e com um grande cuidado visual e didático. Normalmente as palestras tem apenas 15 minutos, então podem ser assistidas rapidamente.
Há diversas palestras de segurança (e "cyber security") que já foram apresentadas no TED e que eu acho bem interessante - algumas eu já comentei aqui no Blog. Veja abaixo uma lista das palestras que eu já assisti e achei mais interessantes. Eu não listei todas que vi, pois algumas eu não gostei e vi outras que tinham informação imprecisa ou repetida (afinal, todo mundo adora falar do Stuxnet).
A lista abaixo não está em nenhuma ordem específica, embora eu tenha intencionalmente colocado no começo as palestras do Bruce Schneier e do Mikko Hypponen, minhas preferidas ;)
"Top hacker shows us how it's done", Pablos Holman (TEDx Midwest), Ago/2012 - palestra meio bobinha, aonde ele mostra alguns ataques de forma bem superficial, obviamente para impressionar a platéia, mas não fala muito de útil.
"The art of misdirection", Apollo Robbins (TED Global 2013), Sep 13, 2013 - Não é uma palestra exatamente sobre segurança da informação, mas é uma palestra sensacional que mostra como é fácil distrair uma pessoa e, com isso, conseguir roubá-la. A palestra é bem divertida e vale a pena assistir!
"Cyber Self-Defense", Paul Carugati (TEDx Spokane), Nov. 24, 2015 - O que me chamou a atenção nessa palestra foi o foco em "ciber defesa", ou seja, na importância de treinar os usuários a tomarem os cuidados básicos de segurança. Para isso, o palestrante dá uma visão rápida e didática dos ataques mais comuns que afetam os usuários no dia-a-dia, incluindo engenharia social, phishing e credential harvest. Ao final, ele cita algumas regras (dicas) de "cyber self-defense".
"Privacidade e Proteção de Dados no Brasil", Carlos Affonso Souza (TEDx Petrópolis), 12 de Junho de 2019 - Palestra excelente sobre privacidade, com uma visão histórica e prática sobe o tema. (NOVO)
Ok, ok... eu andei pensando e vou começar a fazer também uma lista das palestras que, na minha opinião, não valem muito a pena assistir...
"The secret world of cybercrime", Craig Gibson (TEDxMauá), Fev. 2019 - Palestra recente, meio chata (para ser sincero - quase parei o vídeo quando o palestrante soletrou "phishing"), que dá uma pequena visão de como o ciber crime funciona, do ponto de vista de fraude na indústria de telecomunicações, com o crime de vishing. É uma palestra no TEDxMississauga, no Canadá, uma edição do TEDx bem pequena e com infra-estrutura bem simples.
"How the IoT is Making Cybercrime Investigation Easier", Jonathan Rajewski (TEDxBuffalo), Dez. 2016 - Eu achei a palestra péssima. Ele tenta mostrar como um investigador forense pode utilizar os dados extraídos dos dispositivos IOT em uma residência para investigar um crime. Mas ele enrola demais no decorrer da história e, pior ainda, ele encerra a palestra sem apresentar uma conclusão. É uma grande perda de tempo!
"Open & Back Doors: Why Cyber Crime is a Growing Threat", Dorothy Denning (TEDx Santa Catalina School), Nov. 2015 - Palestra bem sem graça, que fala mais do mesmo. Para piorar, a palestrante tem uma voz e postura que transmite uma sensação de tédio.
"The Cyber Skills Gap", Chris Silvers (TEDxElonUniversity), Jun. 2017 - Palestra bem chata. Se você quiser realmente assistir essa palestra, comece no minuto 12:50, quando ele começa a falar sobre o "cyber skills gap" - mas não espere grande coisa. Aos 16:00 minutos ele dá uma dica interessante: para trabalhar com tecnologia, temos que "aprender como aprender" ("learn how to learn") para não ficarmos desatualizados. (NOVO)
No final das contas, algumas palestras também merecem a categoria "não cheira nem fede", ou seja, não são ruins, mas não agregam muita coisa.
"Top Five Emerging Cybersecurity Challenges", Srini Sampalli (TEDxDalhousieU), Jul. 6, 2017 - Palestra simples e simpática, aonde ele apresenta o que considera serem as 5 principais desafios atuais de segurança. Para poupar 17 minutos do seu tempo, vou dar o spoiler: Mobile Technologies, Ransonware, IoT, Big Data e "The Human Factor". (NOVO)
"Facets and realities of cyber security threats", Alexandru Catalin Cosoi (TEDxBucharest), May 31, 2017 - Palestra bem humorada e um pouco divertida, que fala um pouquinho do arroz com feijão: o que é hacker, o que é ciber criminoso, ransonware, Dark Web, IoT, DDoS, etc - fala até um pouquinho do Stuxnet.
"Por que proteção de dados pessoais importa?", Bruno Bioni (TEDxPinheiros), 17 de Out. de 2018 - a palestra não é ruim, mas não agrega nada e não traz informações novas ou relevantes sobre o assunto. (NOVO)
Uma coisa que eu reparei fazendo esse levantamento de palestras do TED, é que o Mikko Hypponen é o "pop star de segurança no TED". Acima eu listei 4 palestras diferente dele. O Bruce Schneier também não fica muito atrás. Embora eu tenha listado apenas 1 palestra dele, eu achei pelo menos 3.
!Eu achei algumas outras palestras do TEDx que não assisti ainda:
Cada vez que eu assisto uma palestra do TED sobre segurança, vejo links para algumas outras que ainda não assisti. Estou começando a achar que eu nunca vou acabar de assistí-las.
Independente se você está viajando dentro do Brasil ou em viagem internacional, todo viajante está exposto a diversos riscos e alguns cuidados básicos podem ajudar na prevenção destes riscos. Entre as ameaças mais comuns e as mais paranóicas, destacam-se os riscos de assalto, sequestro, ataque terrorista, acidentes naturais (enchente, terremoto), espionagem industrial e espionagem governalemtal.
Ninguém está livre de problemas durante viagens. Mesmo que você ache que não é alvo de espiões como o 007, mesmo que você esteja viajando dentro do seu país, ainda assim você está exposto a riscos.
Há diversos cuidados que podemos ter para diminuir a nossa exposição a estes riscos e para melhor nos prepararmos em caso de problemas:
Ao se hospedar no hotel, peça um quarto em andar alto. Em um andar alto, você fica distante de ataques - que, normalment,e começam pelo térreo e vão subindo os andares. Assim, você pode ganhar alguns preciosos minutos que podem te permitir pedir ajuda externa, se esconder, se proteger ou fugir. Além disso, nunca fique no andar térreo, aonde você está mais exposto ao mundo externo e, em particular, pessoas espiando em sua janela, arrombamento e invasão do quarto pela janela, e eventual enchente;
Ao entrar no quarto, sempre tranque a porta. Não basta confiar na fechadura. Normalmente todos os hotéis tem uma tranca adicional. Use-a;
Feche as cortinas para garantir maior privacidade e evitar que te espiem a partir de outros prédios - principalmente se ovcê utilizar o seu computador com ele virado para a janela;
Leve em viagem somente o essencial. Evite levar em viagem documentos e eletrônicos que você não vai precisar. Pense bem antes de levar consigo seu tablet, notebook, etc, e jamais leve em viagem HDs externos nem, principalmente, o backup de seus dados (isso tem que ficar em casa e/ou no escritório!). Assim você diminui a "superfície de ataques" e minimiza a sua chance de exposição. Se você está em viagem internacional, você não vai utilizar o documento do seu carro, nem o seu cartão do ticket refeição, por exemplo. Deixe eles em casa, seguros;
Ao sair na rua, carrege somente o essencial. Deixe alguns cartões de crédito com você e outros no hotel. O mesmo se aplica com o seu dinheiro: deixe um pouco consigo e uma parte no hotel. Em caso de assaltos, você continuará tendo como pagar as suas despesas utilizando os cartões e dinheiro que estão no hotel;
Sempre que possível, deixe o seu passaporte no hotel. Exceto quando orientado em contrário, deixe o seu passaporte guardado no seu quarto de hotel. Na grande maioria das vezes, você pode utilizar o seu RG ou a sua carteira de motorista para se identificar - mesmo no exterior. O passaporte é um documento muito importante e que vai te dar uma grande dor de cabeça se for roubado ou perdido;
Deixe seus bens de valor trancados e escondidos no hotel. Nunca confie nos funcionários do hotel. Quando você deixar documentos, dinheiro, eletrônicos e bens de valor, o ideal é que eles fiquem escondidos junto com as suas coisas. Você pode esconder no meio de suas roupas e trancar na mala de viagem, colocada fora de vista, dentro do guarda-roupa. Eu acho isso mais confiável do que o cofre do hotel - mesmo porquê os funcionários do hotel tem como obter acesso ao cofre 9duvida? então tranque seu cofre e ligue na recepção dizendo que esqueceu a senha - em poucos minutos um funcionário irá no seu cofre para "resetar" a senha);
Mantenha seus bens guardados e não deixe nada exposto no quarto de hotel. Não incentive pequenos roubos no seu quarto do hotel. Vale a máxima: "o que os olhos não vêem, o coração não sente". Mantenha seus bens de valor guardados na mala ou no armário do hotel;
Mantenha suas compras guardadas. Se você está em viagem internaciona e não resistiu a tentação de fazer compras, mantenha as compras guardadas, fora dos olhos de alguém que entre no seu quarto. Um cuidado adicional é também guardar no armário as caixas das compras e só descartá-las no último dia. Assim, funcionários do hotel não vão perceber que você comprou muita coisa e que pode ter bens de valor no quarto;
Cuidado ao conversar com estranhos, e nunca forneça informações pessoais ou de negócios. Jamais convide uma pessoa estranhoa para o seu quarto de hotel;
Não publique seus planos de viagem em redes sociais, aonde qualquer pessoa pode ver - inclusive pessoas mal intencionadas que podem querer te atacar em viagem ou invadir a sua casa enquanto você estiver fora. Se você realmente quer que seus familiares saibam aonde você está e o que está fazendo, altere as suas configurações de privacidade;
Nunca acesse suas contas, sites, nem seus e-mails através de redes públicas nem da rede do hotel. Nunca confie em outras redes ao utilizar serviços que exigem sua identificação e senha. Se necessário, use uma VPN;
Nunca deixe seu computador e seus dispositivos eletrônicos sozinhos. Carregue eles sempre com você, mesmo se você estiver em um restaurante e tiver que ir no banheiro, por exemplo.
O vídeo abaixo, criado pelo governo americano, resume de forma simples e direta algumas das dicas de segurança acima.
Pesquisadores de segurança identificaram algumas vulnerabilidades nas lâmpadas inteligentes da Osram, mais um exemplo de como as novas tecnologias de Internet das Coisas (IoT) estão sendo criadas sem os devidos cuidados de segurança.
Segundo o relatório da Rapid7, foram identificadas 9 vulnerabilidades nas lâmpadas Osram LIGHTIFY domésticas e profissionais, que podem causar o acesso indevido a informações de configuração do dispositivo e da rede doméstica e execução de comandos na lâmpada:
Cleartext WPA2 PSK (CVE-2016-5051) - o aplicativo da lâmpada inteligente armazena a senha da rede wi-fi doméstica em texto aberto;
Lack of SSL Pinning (CVE-2016-5052 e CVE-2016-5057) - uma vulnerabilidade na validação do certificado SSL que permite reconhecer certificados falsos e, assim, facilitar ataques Man in the Middle;
Pre-Authentication Command Execution (CVE-2016-5053) - a lâmpada permite acesso de administrador, não autenticado, através da porta 4000/TCP;
ZigBee Network Command Replay (CVE-2016-5054 e CVE-2016-5058) - a lâmpada permite que um atacante intercepte comandos e os reenvie, aceitando os comandos reenviados como se fossem originais;
Web Management Console Persistent XSS (CVE-2016-5055) - OMG! A interface administrativa é vulnerável a ataques de Cross-site scripting (XSS);
Weak Default WPA2 PSKs (CVE-2016-5056) - É possível quebrar a chave do WPA2, pois eles utilizam uma senha de tamanho curto e facilmente adivinhável;
Cached Screenshot Information Leak (CVE-2016-5059) - o app para iPad armazena screenshots das telas administrativas, e assim, pode exppor telas de configuração com informações sensíveis, como senhas.
